Вопросы?

#КиберМем

Твой Пакет Безопасности

Один хороший человек (с дипломом по криптоанализу) тут поделился ссылкой на шикарный плейлист для изучения того самого криптоанализа и криптографии.

Область знаний эта конечно максимально душная, но, если разобраться, то очень интересная. Я пробежался по верхам и кажется, что такая подача понятна будет многим, поэтому, если вы давно хотели размять свои мозги и не могли найти, чем это сделать, то вэлкам – ссылка

#BaseSecurity

Твой Пакет Знаний | Кибербезопасность

​Вот это я понимаю функция

Помню, как во время обучения в университете у нас была пара дисциплин, посвященных прослушкам, шпионажу и вот этому вот всему (ЗИ по УТК, ПЭМИН и прочие душные аббревиатуры) с использованием всего, чего только можно – от вибраций на окнах и стаканах, до скрытых камер и микрофонов.

Лично мне всегда было скучно на этих лекциях и семинарах, так как к тому моменту учеба мне уже поднадоела, но, тем не менее, эта область кибербеза как раз таки очень романтичная и способна вдохновить многих. Но сегодня не об этом.

Сегодня о том, что в ближайшем будущем Xiaomi начнут выпускать смартфоны (а точнее обновление для своей операционной системы), которые смогут выявлять скрытые камеры (посредством сканирования wi-fi сигналов). Для этого существуют специальные приборы, которые на основе целого набора датчиков умеют выявлять скрытые прослушивающие и записывающие устройства, но если эта функция (хоть и не в полном объеме) будет встроена в наши смартфоны, то это же вообще великолепно.

Не то, чтобы я часто сталкивался с прослушкой или шпионажем, но я периодически натыкаюсь на рилсы и мемы о том, как кто-то находит такими приборами скрытые камеры в отелях, хостелах или даже обычных съемных квартирах, что, как минимум, весьма неприятно, а как максимум – опасно, и нарушает права этих добряков людей.

В общем, так и живем.

#НовостьДня

Твой Пакет Безопасности

​А как часто вы обновляете свои пароли роутеры?

Сейчас попробуем разобрать одну душную новость на человеческом языке (ну хотя бы попробуем). Наверняка все вы знаете и помните роутеры марки D-Link, которые в одно время были чуть ли не монополистами на отечественном рынке, так как продавались буквально везде, стоили дешево, да еще и работали, даруя лучи радиации волны вайфая в каждый дом. Так вот, они еще существуют. Ну а теперь к новости.

На днях во многих СМИ прогремела новость о том, что D-Link отказывается исправлять уязвимости безопасности в своих устройствах. Звучит громко, но сразу за заголовками градус обычно снижается. Что же произошло – энтузиасты из мира кибербезопасности нашли несколько уязвимостей в роутерах компании D-Link и опубликовали об этом информацию в своем (ну конечно же) гитхабе. Более того, сама компания у себя на сайте также разместила информацию об этом. И да, Длинк публично отказался исправлять эти уязвимости в своих устройствах (а дыры там нехилые).

Кажется, что ситуация все еще оправдывает эти громкие заголовки, но есть нюансы. Во-первых, эти роутеры настолько старые, что их уже давно перестали выпускать и продавать. Тут ситуация аналогичная Майкрософтам и Эпплу, которые также в какой-то момент времени просто перестают обновлять свои устаревшие устройства и операционные системы. Во-вторых, D-Link уже не первый раз так поступает со своими пользователями и продукцией, а тут еще и аргументы весомые. В-третьих, что интересно, для этих уязвимостей еще никто не опубликовал тот самый PoC (обычно это происходит почти сразу) – некую пошаговую инструкцию, подтверждающую реальность реализации уязвимости, в общем, алгоритм того, как надо ломать.

Вся проблема состоит в том, что мы крайне редко меняем роутеры у себя дома. Ну а про обновление прошивок на роутерах я вообще молчу. Так вот, это действительно проблема, так как взломав роутер можно не только начать бесплатно пользоваться чужим интернетом, но и подвергнуть опасности все устройства, которые к нему подключены. Поэтому, если вы давно не обновлялись, то это хороший повод об этом задуматься.

И да, об этой новости я узнал от одного хорошего подписчика, которому и передаю привет. Всем мир.

#Мнение

Твой Пакет Безопасности

#КиберМем

Твой Пакет Безопасности

Система Apple Intelligence с функцией “распознавания на экране”, когда пользователь открывает браузер Safari в режиме инкогнито, уменьшает яркость экрана и громкость звука на своем iPhone 16

#IT #ИБ

Твой Пакет Мемов

Ну что, дорогие читатели, у меня к вам просьба 🤨

Я тут понял, что у меня мало чтива, поэтому накидайте, пожалуйста, в комментарии крутые телеграм-каналы, посвященные IT и ИБ 👇

Чем больше, тем лучше 👍

​Кардшеринг

В общем, пока недовольные пешеходы и автомобилисты из разных разных городов нашей страны продолжают анархично разбрасывать электросамокаты и кричать на их владельцев, мошенники начали популяризировать мошенническую схему, которая построена на похожей концепции.

Раньше (ну и сейчас) мошенники промышляли покупкой доступов к чужим банковским счетам и картам. Делали они это либо для себя, либо для перепродажи другим нехорошим людям, например, "обнальщикам". Если кто не смотрел сериал Озарк (а я советую это сделать), то это вид мошенничества, связанный с незаконным обналичиванием денежных средств (чтобы не платить налоги, например). И да, люди действительно продавали мошенникам доступ к своим банковским сервисам, реально (читать с интонацией).

Так вот, теперь стало модным не выкупать такие доступы, а брать их в аренду. Ох уж этот современный мир по подписке. Логика та же – вы даете другим людям доступ, например, к своей банковской карте, а взамен получаете посуточную оплату на срок аренды. И да, люди действительно дают в аренду свои карты, реально (читать с интонацией).

Что происходит с картой дальше? Правильно – всё самое нелегальное и аморальное, что только придёт вам в голову. Во-первых, новоиспеченный бизнесмен (тот, кто сдал свою карту в аренду) становится дроппером, то есть соучастником всего того, что будет происходить дальше с банковским счетом. Ну а карта будет использоваться для чего-угодно – от сбора средств на несуществующую благотворительность до использования счета для вывода нелегально заработанных денег в крипту.

К сожалению, чаще всего на такое ведутся либо молодые ребята, либо пожилые люди, по одним и тем же причинам. Ну а вы, мои дорогие читатели, не поддавайтесь этим мимолетным искушениям, делитесь этой информацией с теми, кого это может коснуться, и не пытайтесь обмануть эту жизнь, обходя законы. Всем мир.

И да, термин "кардшеринг" из заголовка поста запатентован под другую существующую технологию (да, вы тоже должны об этом знать).

#Кибергигиена

Твой Пакет Безопасности

Вот и подошла к концу очередная неделя нашей с вами жизни. Дайджеста в этот раз не будет, но про пару вещей упомянуть нужно.

Во-первых, тут ребята из Авиликса выложили ролик с награждения своего замечательного Pentest Award – ссылка.

Во-вторых, в эту пятницу я выступил с докладом на одной международной конференции по безопасности. Был рад повидаться со знакомыми лицами, познакомиться с новыми людьми и пообсуждать насущные темы. Словил на месте сразу 3 приглашения на разные мероприятия в роли спикера (было очень приятно). Поэтому и вы не стесняйтесь звать меня ведущим на свои корпоративы.

В-третьих, мы тут с одним хорошим человеком решили сделать исследование зарплат в мире кибербеза, поэтому, если вы хотите также приложить к этому свою руку (конфиденциальность гарантирую), то вэлкам в личные сообщения.

Ну а мы продолжаем жить эту жизнь дальше. Всем добра.

Твой Пакет Безопасности

#IT

Твой Пакет Мемов

​Нет, ну вы это видели?

В общем, сегодня без кибербезного контента, поэтому можете расслабиться и выдохнуть. Просто короткий пост по двум инфоповодам:

Во-первых, какой-то герой поставил платную рекакцию под предыдущий пост!!!!!

Во-вторых, нас тут добавили в папку с другими каналами по кибербезопасности – ссылка (да, с первой новостью конечно же не сравнится, но тоже событие). Не могу сказать, что знаком со всеми из этого списка, но видеть себя там приятно. И кстати, мы с вами там одни из самых больших 💪

В общем, не смею больше всех вас отвлекать, поэтому погнали жить эту жизнь дальше.

Твой Пакет Безопасности

​Дышим глубоко

Как насчет того, чтобы смягчить закон, который еще не вступил в силу? Если вы еще помните про то, как я распинался в канале (например, тут или тут) на тему долгожданного закона об оборотных штрафах за утечки наших с вами персональных данных, то вот вам новость на эту тему – этот закон хотят смягчить 😡

Согласно поправкам, для протёкших провинившихся компаний будут предусмотрены поблажки в случае, если пострадавшим клиентам будет выплачена компенсация, и если компания вложится деньгами в какие-то мероприятия по обеспечению кибербезопасности (какие – пока не понятно). Судя по всему, речь про обучение для сотрудников по кибергигиене, внешние аудиты безопасности и вот это вот всё.

И да, закон все еще планируют запустить и привести к исполнению в этом году. В общем ладно, видимо надо просто выдохнуть, дождаться, когда этот момент уже настанет и посмотреть, что из этого получится.

Ну и в эту же тему – я тут наткнулся на интересный пост про влияние утечек на бренд компаний и опрос об отношении пользователей к сливам своих данных. Интересно посмотреть, какие результаты будут у ИБ-коммьюнити, поэтому ниже ловите сам опрос (само собой, анонимный) 👇

Твой Пакет Безопасности

Вот это я понимаю схема

Ребята из Sonatype тут решили потратить колоссальное количество времени и сил – они умудрились засунуть в одну схему по DevSecOps всё, что только можно – от классов решений и ролей до самих инструментов и их вендоров. А еще всё это обмазано бесконечным количеством стрелочек и связей.

В общем, очень сложное, но полезное и красивое. Забираем – полезно будет практически всем безопасникам.

#DevSecOps #AppSec #BaseSecurity

Твой Пакет Знаний | Кибербезопасность

​Даёшь больше выступлений и инфопартнёрств

Чувствую, что воскресенье скоро станет не днем дайджестов, а днем анонсов. В общем, информации будет много, до конца дойдут не все, но я в вас верю:

Во-первых, на днях будем болтать с двумя крутыми безопасниками (сдаю первого и второго) про Архитекторов Безопасности на подкасте от SafeCode. Само собой, ссылкой поделюсь сразу же, как только выложим это добро в сеть.

Во-вторых, меня тут пригласили поучаствовать в дискуссии на конференции SecurityTech 2024 (24 октября), а кто я такой, чтобы отказываться. Ну и, само собой, наш с вами канал стал инфопартнером этого мероприятия ☝️

Во-третьих, 14 ноября (да, не скоро, но я еще напомню) буду рассказывать что-то интересно на конференции CIRF (Corporate Incident Response and Forensics) от МКО Системы. Обещают, что будет много неформального общения и крутой атмосферы. И да, тут мы тоже инфопартнёры ☝️

В-четвертых (казалось бы, ну хватит, да?), наш канал попал в топ лучших авторских каналов про информационную безопасность, уступив только глыбе индустрии. Горжусь.

Вот теперь всё, всем плодотворной грядущей недели 💪

Твой Пакет Безопасности

#IT #ИБ

Твой Пакет Мемов

Ода уважения

Уже предвижу интересные комментарии у этого поста, но я давно хотел излить эту мысль в текст, поэтому пристегнитесь, будет сладко, противоречиво и искренне. Чтобы не томить – речь пойдет о Яндексе, его важности и моём отношении к нему.

В первую очередь, хочется выразить этим ребятам уважение за то, сколько они пережили турбулентностей за последние годы – начиная с утечек данных и кода, заканчивая разделениями и микроскандалами.

И несмотря на это, они остаются лучшим бигтехом нашей страны практически во всех рейтингах. У них все еще одни из самых стабильных сервисов, они покрывают (и делают при этом легче) уже практически все бытовые сферы нашей жизни – от такси и доставки до умного дома и продуктов (да, не без самокатов), они все еще продолжают расти, развиваться и подстраиваться под этот сложный мир и обстоятельства. Да они даже ребрендинги успевают делать.

Смогли бы мы жить в мире без такой компании, как Яндекс? Да смогли бы конечно, но такой ли лёгкой и удобной была бы эта жизнь?

Лично от себя хотел бы сказать спасибо за одни из лучших ИБшных оффлайновых мероприятий, как закрытых, так и публичных, которые завлекают в мир кибербеза всё больше людей, а тех, кто уже тут – раскрепощают и радуют. Круто, что кибербез у нас двигают вперед не только профильные компании, но и те, кто строит его сугубо для себя и своих продуктов.

И да, все любят хейтить, ругать и осуждать – это удобно, да не нужно напрягаться, чтобы найти для этого повод – так уж устроен наш мозг. Каким бы не был негатив – его еще и всегда поддержит кто-то из толпы, а нам ведь важна социальная валидация. Но иногда стоит и похвалить, особенно если кто-то этого заслуживает.

И нет, это не "продано", это правда моё мнение относительно этой компании и того вклада, который я вижу и ощущаю. И нет, в Яндекс я не перехожу, как и не еду за новым бентли 🥸

Мем не нашел, поэтому ловите гифку, которая сегодня буквально везде 👇
(ваши гештальт-мемы принимаются в комментариях)

Твой Пакет Безопасности

А вот об этом-то я не упомянул в воскресенье (просчитался, но где) – завтра буду в прямом эфире прожаривать резюме ИБшников, поэтому, если будет время, забегайте на огонёк 🔥

Ну а если вы хотите, чтобы прошлись и по вашему резюме, то в посте по ссылке написано, как и куда его прислать. На сегодня всё – да, даже без душных и длинных постов. Всем мир.

Твой Пакет Безопасности

СНИЛС

До сих пор для большинства граждан нашей страны это просто какой-то очередной заламинированный документ, у которого есть уникальный номер, и который лучше не терять. Некоторые догадываются и помнят, что эта штука как-то связана с пенсией и страхованием. Ну а лично я свой СНИЛС получил давным-давно, а произошло это максимально случайно. Ну а сегодня мы поговорим о том, что будет, если злоумышленники получат от вас номер этого странного документа.

Так уж вышло, что данные СНИЛСа не публичные, а это значит, что некоторые организации их используют как дополнительный фактор подтверждения вашей личности. Например, так делают Госуслуги. Именно для получения доступа к ним чаще всего злоумышленники и пытаются выманить у вас номер этого документа, а затем начинается свистопляска с выманиваем одноразового кода из СМС (да, номер СНИЛС – всего лишь один из факторов).

Но, как вы могли заметить, скамеры не всегда пытаются выведать у вас этот номер, так как его все-таки можно найти, если порыться в утечках из банков, медицинских учреждений или компаний, где вы когда-то работали (да, этот номер есть у вашего работодателя).

Что же делать, если вы назвали номер своего СНИЛС кому-то плохому? Ничего, потому что без дополнительного фактора он в ваши аккаунты не зайдет, микрозайм не возьмет и ничего плохого скорее всего сделать не сможет. Ну а если вы ему и одноразовый код из СМС назвали, то скорее всего ваши Госуслуги уже пали. Да, тут уже не всё так радужно, но что делать в этом случае мы уже обсуждали в этом посте, так что не теряйте.

Ну вот и всё – мы так и не поняли, что такое СНИЛС, но хоть разобрались, что не стоит никому говорить его номер. Так и живем.

#Кибергигиена

Твой Пакет Безопасности

#ИБ

Твой Пакет Мемов

Да ну хватит уже

В общем, я понимаю, что вам наверное уже надоели эти разборы схем социальной инженерии и СКАМа в последнее время, но я ничего не могу с этим сделать – они никак от меня не отстанут. Ну а я не отстану от вас, не одному же мне мучаться. Да, текста там внизу много, но я в вас верю.

Так вот, за последнюю неделю у меня дважды пытались угнать доступ к аккаунту на Госуслугах 👇

Схема номер 1 – базовая. Звонит сотрудник почты и говорит о том, что на ваше имя пришло письмо и его нужно направить либо курьером к вам домой, либо в ближайшее отделение Почты России. Я сразу немного поднапрягся (мне кажется, что я их уже по голосам отличаю) и сказал, отправлять по адресу ближайшего отделения почты. Такой легкий ответ сотрудника не устроил, и он решил уточнить – а не интересно ли мне, от кого это письмо, на что получил отрицательный ответ.

Позже он все-таки сказал, что письмо важное и из налоговой, но в любом случае ему нужно подтверждение от меня (через Госуслуги), что письмо надо отправить именно в отделение. После этого мне приходит СМС от "gosuslugi" с текстом "Код восстановления доступа к учётной записи: ХХХХ", а вежливый сотрудник просит ему его назвать. В общем, классика. Дальше мы еще минут 10 мило поболтали, пока я называл неверные коды, но потом сотрудник начал сильно нервничать и разговор закончился.

Нужно понимать, что мне в этом случае было достаточно легко распознать что-то неладное, но если бы я в это время действительно что-то ждал от налоговой и куда-то торопился, то ситуация бы сильно усложнилась.

Схема номер 2 – поинтереснее. Где-то спустя день после того, как я написал тот пост про ID-сервисы, мне позвонили из якобы того же красного оператора связи и попытались провернуть такую же историю с подтверждением через тот же МТС-ID. Угнать у меня кстати пытались опять Госуслуги, а не доступ к телефону, но тем не менее. Легенда состояла в том, что у меня заканчивается договор с МТС и его надо либо продлить, либо расторгнуть. Тут сотрудник был уже более настойчивый, и на мою фразу "пожалуй я сейчас положу трубку и перезвоню в колл-центр МТС" он сразу ответил, что не получится, так как сразу после этого звонка мой номер заблокируется, я потеряю к нему доступ, интернет отключится, рука отвалится, позвонить тоже будет невозможно. Вот это я понимаю рычаг.

Собственно, после такого странного заявления я понял, что дальше будет что-то интересное, поэтому согласился переподписать договор. Дальше сотрудник меня расслаблял различными выгодными тарифами, которые я могу подключить после продления договора. А потом что? Правильно – СМС от "gosuslugi" с текстом "Код восстановления доступа к учётной записи: ХХХХ". Но тут меня попросили назвать не код, а "номер заявления", который должен был прийти мне в сообщении. На мой вопрос о том, почему там написано "код восстановления", мне ответили, что это просто шаблон такой универсальный, ничего страшного.

Дальше началась моя любимая фаза – называние неверных кодов из СМС. И тут, в какой-то момент мне приходит СМС от МТС_ID с одноразовым кодом входа (да, прямо как в том посте). Так сотрудник пытался доказать мне, что работает в МТС и даже говорил, что код из этой СМС ему не нужен (все верно, он же не от Госуслуг). В общем, мы также поболтали еще минут 10 и потом разошлись по своим делам.

Итого, что мы имеем – несмотря на то, что легенды были абсолютно разные, в обоих случаях был один и тот же финальный аккорд – передача кода восстановления доступа к аккаунту на Госуслугах. Прошу вас, как только вам приходит такая СМС, сразу же кладите трубку, с кем бы вы не разговаривали – с врачом, сотрудником почты, да хоть с мороженщиком. И никому не говорите этот код, потом просто замучаетесь бегать, восстанавливать этот доступ и разбираться, где вас кинули. Всё, я выговорился, я доволен. Ну а вы, как и всегда, можете поделиться этим постом с родными и близкими, чтобы они знали, какие сказки нынче в моде.

Так что, надоели вам эти посты про мошеннические схемы или не надоели?
🦄 – надоели
❤️ – не надоели

Твой Пакет Безопасности

Вот и настал этот момент

Если коротко, то меня и мою статью опубликовали в Forbes (не благодарите), если чуть поподробнее, то приятного прочтения 👇

Ну а теперь поехали. Почти год назад я подводил итоги того, что у меня получилось сделать, а что – нет. И среди неудач там был пункт, связанный с Форбсом. Так вот, у меня это получилось – написать материал в одно из самых авторитетных и известных изданий в мире.

Да, само собой, это не «30 за 30» и не тот самый формат интервью, но для меня и это было вызовом. Сделать это самостоятельно на том уровне, на котором нахожусь сейчас я, было бы предельно сложно, поэтому отдельную благодарность хочется выразить всем тем, кто направлял, помогал поддерживал (не без ваших молитв, и ).

И нет, я не делал это для социальной валидации (мне хватает других активностей в жизни), я делал это в первую очередь для себя. Ну а вот тут можно почитать и саму статью – ссылка

Вышло кстати недурно, как по мне, особенно концовка.